碎碎谈 · 10月22日 18:38

​这真的是防火墙吗？论宝塔 Nginx 免费防火墙8.3/ 8.4 的代码写得有多离谱：

• http拉取云端脚本不验证直接root权限执行
• 面板凭据HTTP链路明文外发
• 静默HTTP 明文上传用户文件到云端
• POST 防御，请求加26个字符就可绕过
• 增强型 CC 防御，请求加10个字符就可绕过（并且获得一个小时防火墙免检白名单）
• 规则目录权限是 666
• 日志权限是 777……
• 如果服务器严格禁止http，它会自卸载（前边我可以说作者是水平问题，但为什么要写一个没有http链路时自卸载的逻辑呢🤔）

等我明天有空，再细看看代码（以上都是纯看代码得出的结论，没经过实际环境验证，但应该没差很多…吧…），给大家好好掰扯掰扯这里边的门道，我之前知道这玩意儿写得很粗糙，但没想到居然如此炸裂。

你以为你是给自己的服务器请了一个保安，其实这保安搞不好才是服务器里最大的威胁。